- Nhét những lệnh bạn cho phép chạy vào một script ($HOME/yourscript.sh)
- Cho phép xác thực bằng public key
- Sửa dòng chứa public key của client trong file authorized_keys trên server thành:
Code:

command="/home/<username>/yourscript.sh" ssh-rsa ...

Chi tiết: http://www.linuxjournal.com/magazine/paranoid-penguin-managing-ssh-scripts-and-cron-jobs?page=0,0 

Cái em cần là một người đã ssh vào trong máy chủ cho phép forward port và thực hiện một số lệnh mình chỉ định.

Ví dụ em sẽ chặn hết tất cả các port trên máy, muốn dùng các dịch vụ phải SSH Tunnel qua SSH User mà em cung cấp. User này cấp cho nhiều người nên em cần chặn quyền của nó để bảo mật. 

A     -----     B      -----        C
(client)      (SSH server)      (another server)

khanga6tm wrote:

Cái em cần là một người đã ssh vào trong máy chủ cho phép forward port và thực hiện một số lệnh mình chỉ định.

Ví dụ em sẽ chặn hết tất cả các port trên máy, muốn dùng các dịch vụ phải SSH Tunnel qua SSH User mà em cung cấp. User này cấp cho nhiều người nên em cần chặn quyền của nó để bảo mật. 

Nếu mình hiểu đúng thì thế này:
Code:

A     -----     B      -----        C
(client)      (SSH server)      (another server)

Sau khi A ssh vào B, bạn muốn tất cả các traffic từ B phải đi qua tunnel do bạn tạo trước từ B sang C. 

A     -----    B
Client       Server

Dạ, nó đơn giản hơn là thế này.

Code:

A     -----    B
Client       Server

Ví dụ đơn giản như sau:
Tại máy B em tạo ra 1 User là ssh_user đi được phép SSH từ máy A.
 

User này sẽ cho phép em forward những port em muốn qua cổng của dịch vụ ssh. Khi ấy em không phải mở bất kỳ port nào khác ngoài port 22 của dịch vụ ssh.
 

Trước mắt em không cho phép nó run lệnh đã, em public cái User này cho anh em dùng để truy cập vào máy B.
 

khanga6tm wrote:

Dạ, nó đơn giản hơn là thế này.

Code:

A     -----    B
Client       Server

Ví dụ đơn giản như sau:
Tại máy B em tạo ra 1 User là ssh_user đi được phép SSH từ máy A.
 

OK.

khanga6tm wrote:

User này sẽ cho phép em forward những port em muốn qua cổng của dịch vụ ssh. Khi ấy em không phải mở bất kỳ port nào khác ngoài port 22 của dịch vụ ssh.
 

forward từ đâu đi đâu?

khanga6tm wrote:

Trước mắt em không cho phép nó run lệnh đã, em public cái User này cho anh em dùng để truy cập vào máy B.
 

Cụ thể là bạn muốn không cho chạy lệnh nào? 

1. thì tìm hiểu SSH port forwarding. Còn 2. thì mình không biết bạn cho SSH vào làm gì để rồi chỉ cho ngồi nhìn màn hình. 

Em cần tạo ra 1 User được phép SSH vào máy chủ của em nhưng bị hạn chế quyền triệt để. Chỉ thực hiện nhưng lệnh mà em cho phép nó thực hiện, không được thực hiện bất kỳ lệnh gì khác.  

Hi Khang!
Cái mẹo của tớ để giải quyết vấn đề này là chạy ngay 1 ứng dụng khi user vừa đăng nhập SSH, và ứng dụng này ghìm session ở trạng thái đó.

Thế này nhé, tớ sửa file /home/user/.bashrc, thêm vào dòng cuối cùng nội dung sau:
Code:

exec sleep 3600

(nghĩa là chạy sleep trong vòng 1h thì thoát).
Sau đó, cho phép user login = mật khẩu hoặc key.
Khi đăng nhập, nó sẽ thế này:
Code:

$ ssh 10.36.14.205 -l user -L 8080:10.36.10.100:80
Last login: Fri Oct  8 09:31:53 2010 from 10.36.12.10
sdf
^B
^G
^Y
^G
^A
Connection to 10.36.14.205 closed.

Như thế này, khi đăng nhập xong, sẽ chả có thể gõ lệnh nào được cả. Gõ thoải mái những chả có tác dụng, kể cả ^Z. Sleep nó không phải là bộ phân tích lệnh và exec đã thay thế sh khi login bằng nó. Port vẫn được forward (tức là truy cập localhost:8080 vẫn vào máy được 10.100:80), nhưng user không có cách nào thoát khỏi lệnh sleep đang chạy về sh. Nếu ấn Ctrl+C (như tớ ấn ở ví dụ trên), thì ngay lập tức sleep sẽ bị kết thúc, và session cũng kết thúc theo. Hoặc khi hết hạn 3600 giây thì sleep tự thoát, đồng thời cũng kết thúc session.
Việc ngăn chặn port forward có thể dùng iptables trên máy SSH server, chỉ cho phép cmd sshd kết nối tới IP/port nào.

Đây là cách để tớ tạo 1 "Application VPN over SSH", giúp user truy cập 1 số ứng dụng hạn chế trong mạng qua lớp application layer. Vừa an toàn nhờ SSH mã hoá, compression, xác thực qua key, lại hạn chế được thời gian cho mỗi session (tránh session chết), vừa chống được dùng lệnh bậy bạ, vừa ngăn ngừa các traffic không mong muốn (ko ping, ko scan port, chỉ có mỗi TCP với 1 số port cố định). Thời gian sleep có thể dài hay ngắn tuỳ.

PS: dĩ nhiên, với yêu cầu gốc là gõ 1 số lệnh, thì cách duy nhất là tự viết lấy 1 cái bộ phân tích lệnh hạn chế như là bash, hoặc là chroot vào thư muc với /bin có những lệnh cho phép xài. Nhưng cách làm shell riêng mất công, cách chroot nói chung khó chặn được user copy file binary lên và chạy.